Начинающий системный администратор. Вопрос по построению сети?

Question

[typoisysadm]

У меня есть офис на 10 компов на первом этаже, на втором 9, есть построенная сеть, без сервера, просто компьютеры в workgroup, некоторые компьютеры подключены к интернету по средствам wi-fi.
Суть вопроса:
1. Стоит ли делать бухгалтерии свой собственный сервер на win сервере ? (у них 3 компьютера, и стоит ли им делать AD)
2. Не могу понять как построить грамотно сеть (для построения есть всё коммутаторы, 1 маршрутизатор Микротик)
3. Стоит ли ставить на всю организацию виндоус сервер и подключать к ним AD ?
4. Есть ли какие-нибудь видео полезные видео уроки по данной тематике ?

Comments

[typoisysadm]

1. Бухгалтерия хочет свою отдельную под сеть и я как начинающий решил что нужно ставить им виндоус сервер и разворачивать там 1с базу и бэкапить их файлы туда же.
2. Я не понимаю как загнать всех в одну сеть и + если все будут в сети некоторые пользователи, например смогут зайти на компьютер той же бухгалтерии, с случайно удалить базу 1с (это просто пример).
3. win server хотел ставить только с той целью, чтобы люди которые сидят на компах не могли например залесть в реестр поменять что-нибудь, либо же не смогли скачать шифровальщик, потому что такой случай чуть не случился.

[Drno]

1. отвечать нудо в "комментировании"... мало ли что хочет бухгалтерия... зачем им отдельная сеть?
описывайте тогда как и где щас хранится 1с.
Вы предлставляете себе цену на винсервер + лицензии + лицензии на сетевое хранение итд?)

2. как они зайдут на ПК бухов, если там RDP должен быть выключен, а сетевая папка(если такая есть) запаролена?)))

3.Для этого достаточно убрать у юзеров права админа... Вин сервер для этого не нужен

PS - если уж хочется отдельный "сервер", достаточно сделать самосборный ПК, поставить туда WinPro, и настроить сетевые папки)
Но тоже самое можно сделать и на бесплатном линусксе установив на "сервер" например OpenMediaVault

[Adamos]

typoisysadm, у Микротика несколько сетевых выходов. Совершенно спокойно можно на него завести несколько подсетей, которые друг друга видеть не будут.

(А потом узнать, что им все-таки надо кидать друг другу файлы...)

[pfg21]

пункт 4 решается гуглом :)

[Alexey Dmitriev]

"Видеоуроки" значит :-) Боюсь, что видеоуроками тут не обойтись, если вы конечно не хотите всю жизнь ключи
подавать.
Нужно учиться, причем без остановки всю жизнь.

[typoisysadm]

Спасибо за совет и ответы у меня как будто новый взгляд появляется, тогда у меня всё же остались вопросы:
1. 1С что и куда ставить лучше отдельный пк на линукс/виндоус или оставить на бухгалтерском пк ?
2. Могу ли я реализовать на вин сервер такие штуки: Рейд массив и туда закинуть 1С базу и раздавать её на другие компы ?
3. Как лучше всего бэкапить файлы и какие примеры можно использовать в моём случае ?
Думал что можно как-нибудь реализовать бэкам на какое-нибудь облако, яндекс, майлру, но не хватает опыта в этом, в плане не приходить самому и скидывать, а чтобы в 16:30 оно автоматически выгружало туда файлы.
Заранее извиняюсь за мой сленг.

[typoisysadm]

Ещё такой вопрос, есть другая организация в который ещё меньше пк 3 бухгалтерии и 8 других сотрудников, но загвоздка в том что бухгалтера подключены к другой сети, хотя всё в одном офисе. Такой вопрос я могу подключить к пк вторую сетевую карту и подключить этот пк к двум разным сетям и сделать сетевую папку для одной сети и для другой ?

[Adamos]

Недавно у меня на бух-сервере сдох рейд на WD Black.
Работа встала на день, пока спасал данные - если вы тоже не часто имеете дело с рейдами, у вас будет то же самое.
Заменил его на приличный SSD - все стало заметно шустрее. И появился вопрос: а на хрена вообще рейд?
Для того, чтобы не потерять данные - существует бэкап...
Тем более, что на 3 бухов у вас вполне может быть файловая 1С, для которой скорость диска важнее вообще всего остального.

Файловая же 1С предполагает, что папка с файлами открыта в сеть - и бэкап любой древней балалайкой с Linux -> cron + mount + rsync + umount делается, как два пальца, и работает, как часы. Хоть в 16.30, хоть каждый час. Хоть поверх, хоть ежедневными папочками на месяц назад. Лишь бы места хватило.

[aleks-th]

typoisysadm, хотеть могут все что угодно, финансы на хотелки у них есть ?
Скорее нет так как у кого есть нанимают админов дорого и с опытом.

Лучше сначала выяснить ресурсы сколько люди готовы платить за модернизацию сети и за поддержку того чего вы там наворотите - во первых.
Во вторых читать документацию.
В третьих главное правило сисадмина -работает не трогай. Прежде чем что-то трогать - письменно сформулировать под подпись руководителя какую задачу ты решаешь и какие будут риски и последствия этого решения.

В четвертых чтить гк часть 4, то что касается авторских прав - наставить ты можешь себе на 6 лет лишения свободы, и десятки миллионов с тебя могут правообладатели отсудить спокойно, и отвечать будешь лично, либо в составе преступной группы с руководителем.

У тебя вообще мелкие и дикие сети, с ними можно ничего не делать, особенно если у клиентов нет денег на лицензии и железо. Только привести в порядок компьютеры и поддерживать что выросло.

[Adamos]

aleks-th, по мелкой и дикой сети как раз вполне можно в одно лицо сделать хорошо.
1. Собрать рабочие материалы с машин на файловый сервер и прекратить бардак с сотней шар и отсутствием бэкапа.
2. Повычистить пиратки, заменяя M$ Office на Либру, фотошопы на бесплатные утилиты или Gimp, WinRAR на 7zip etc.
3. В результате обнаружить, что половине сотрудников для работы реально не нужно ничего, кроме Либры с браузером, и винды, соответственно, тоже совершенно необязательны...
4. И двигаться на Линь, постепенно, но неизбежно. Открывая новые горизонты, которые прежде были завалены хламом ;)

[Pb_hard]

Adamos, RAID нужен для обеспечения бесперебойной работы.
Если у вас сломался HDD сервер должен продолжить работу. Чтобы не остановить работу сотен и тысяч людей из за одного диска. Сломанный диск заменили и все.

Если же такого требования нет - например в бухгалтерии небольшой организации где с сервером работает 5-10человек, можно просто выключить сервер и поменять все что нужно. Там бесперебойная работа нафиг не нужна. Там даже резервного дизельгенератора нет. Поэтому разумеется и RAID там нужен примерно как собаке пятая нога.

Самая популярная ошибка - многие почему-то ошибочно считают что RAID как то влияет на безопасность хранения данных. Вроде как помогает сохранить данные или около того. Такие вот народные поверья, которые с действительностью ничего общего не имеют.

[Adamos]

Pb_hard, согласен полностью.
Рейд в серверной - естественен, рейд в системнике главбуха (он же сервер) - карго-культ.
Во всяком случае, с тех пор, как большие и надежные SSD стали стоить сравнимо.

[Pb_hard]

typoisysadm,
1) Нужна отдельная сеть? Берете два коммутатора один для бухгалтерии другой для остальных.
Или один управляемый коммутатор - тогда всех в один коммутатор, а в настройках по виланам раскидать.
2) Странно.... Только что вы спрашивали как раскидать пользователей по разным сетям, теперь опять в одну сеть надо? Ну не вопрос - включите все компьютеры в один коммутатор.
По поводу удаления базы - а зачем давать права на чтение и удаление кому попало???
3)Про сервер вообще непонятно. Какие-то реестры, шифровальщики и прочее.
Сервер это обслуживающий компьютер! От английского serv - раб, слуга.
Сервер ставят для того чтобы он обслуживал запросы других компьютеров.
Какие вам запросы нужно обрабатывать, для каких целей вам нужен сервер?
Например можно создать файловый сервер - чтобы пользователям было удобно хранить файлы в одном месте.
Или сервер баз данных - он будет обслуживать запросы к базе данных.
Или сервер 1с - он будет обслуживать запросы к 1с, и пользователям не придется хранить их у себя.

Answer 1

[Drno]

1. зачем, какую проблему Вы этим хотите решить?
2. просто всех загнать в 1 локалку и не париться
3. Зачем? А денег дадут?
4 без понятия)

Answer 2

[Adamos]

Для 1с сейчас не только Win-сервер не требуется, но и Windows в принципе.
AD - это инструмент управления большими сетями, в малых он создаст больше проблем, чем решит.
Сервер - это полезно для устранения бардака. Только не Win-сервер, конечно. Файловый, чтобы файло по машинам не валялось. А от шифровальщиков те места, куда пользователям все равно нужно писать, вы не защитите никакими волшебными палочками. Только бэкап (недоступный юзерам из тех самых соображений).
Ну, и потихоньку отказываться от Винды тоже полезно и перспективно.

P.S. И как совет начинающему сисадмину - не употреблять в планах слово "ставить", если речь не о бесплатном софте. За все, что поставлено, но не куплено - отвечает, внезапно, именно сисадмин. Вполне реальной уголовкой.

Comments

[sten65]

если сисадмин и сетка, то ад (да и любая другая централизованная сетевая структура) тебе много времени сэкономить и нервов. 1с - по опыту лучше выделить отдельный сервер (физический или виртуальный неважно). в условиях сетки до 30 пользователей можно обойтись квази-сервером (т.е. без больших материальных затрат), но сама ось нужна серверная (форточки, никсы - без разницы). смотреть/читать - если по серьёзному в тему вникать, то на русском смотри в Бином, а лучше на языке оригинала. почему пишу в комментах к ответу - достали "умники" для которых рабочие группы верх совершенства :))) Удачи тебе!!!

[Adamos]

sten65, в сети до полусотни сотрудников одноранговая сеть - обычное и достаточное решение, не имеющее проблем, которые имело бы смысл решать поднятием домена.
А "рабочие группы", собственно, давно вымерли что на виндах, что в никсах.
Вообще офис все больше тяготеет к коворкингу, все меньше специализированного софта и связей между компьютерами сотрудников напрямую, все больше онлайн-сервисов и удаленной работы.
В этом переходе завязка на виндовские помогаторы и прочий майкрософтовский софт вполне может быть гирей на ноге.

Лично мне AD уж никак ничего сэкономить не может - у меня типовое рабочее место подготавливается за час вместе со сборкой компьютера: убунта с флешки, потом скрипт с доустановкой-поднастройкой (даже не анзибл, потому что это случается раз в полгода) - и добро пожаловать через четыре года сменить LTS на свежий... до тех пор все просто работает и администрирования не требует. Ибо после отказа от виндов напрочь прекратилось постоянное "яничегонеделалаоносамо".

[Pb_hard]

sten65, Ну на 19 компов маловероятно что AD имеет смысл ставить.
AD дает удобство централизованного управления сетью, но нужно ли оно в данном случае?
А затраты немаленькие - как на покупку и настройку, так и на администрирование.
В мелких офисных сетях AD зачастую добавляет проблем, а не решает их.

Как правило 19 компов, приходящий системный администратор, небольшой бюджет на железо и софт. Нужня ли там инструменты для быстрого развертывания и управления?

По поводу черверной ОС - смотря для чего. Файлопомойка на 20пользователей ничуть не хуже будет работать и на обычной ОС. Серверная просто имеет больше специфических функций, и более удобна в управлении.

Надо смотреть на конкретную задачу. А то видел сетки - 7 компьютеров и файлопомойка и все это в AD. Для чего непонятно. И жутко неудобно всем. Зато круто.
Пароль администратора домена написан у всех сотнудников на мониторе, ну чтобы они софт если надо могли поставить. Сисадмина то понятное дело нет в штате, а приходящий когда придет неизвестно.

Поэтому AD разумно ставить только тогда, когда вы четко понимаете - без AD вы тут замучаетесь и не справитесь. Если этого нет, то и AD нафиг не нужен.

[itshnick88]

А бюджет выделяют? Всё зависит от наличия денег\оснащения. Меня многие закидают, но всё же я свой вариант подкину, может не вы, дак кто-то другой вспользуется.

Бухгалтерия с 1С работает? Персоналка хранится? Скорее всего. Возможно ещё и с СКЗИ работают, чтобы подписывать отчёты в налоговую, СФР и прочее-прочее.

Берём один хороший железный сервер, делаем из него гипервизор виртуализации. Берём два небольших NAS.
На гипервизоре поднимаем виртуальные серверы: Сервер по 1С (тут вариантов куча, тема холиварная с этими толстыми/тонкими/RDS клиентами), файловый сервер, сервер контроллера домена (на нём же можно поднять DHCP и DNS сервер сразу), сервер бэкапов, желательно сервер администрирования антивирусного ПО (типа KSC).
NASы подключаем по iSCSI к гипервизору, на одном NAS лежат виртуальные машины (полностью, с конфигурацией, жёсткими дисками, контрольными точками). На втором NAS лежат бэкапы сервера бэкапов, и бэкапы баз данных (сейчас только 1С, в будущем может что-то ещё добавится). Этот NAS максимально нужно защитить.
Делаем несколько VLAN, разделяем машины, на которых ведётся обработка персональных данных (желательно порезать интернеты хотябы чуть-чуть), обычные машины с полным доступом в интернеты, серверные машины (эти тоже защитить). На межсетевом экране также делаем правила, из какого VLAN куда можно попасть и по каким протоколам\портам. Например, на вебку NAS только с админского компа по протоколам 80, 443 (и всё в таком духе). Желательно на каждый порт микротика привязать не только тэг VLAN но и разрешённый MAC, чтобы никто не мог просто прийти и врезаться в сеть со своим кабелем и ноутбуком. Например на каждый порт прописать VLAN телефонного аппарата (у каждого же сотрудника он есть?), на телефонном аппарате уже снимать тэг и отправлять трафик на конечное устройство. Телефоны, кстати, тоже в свой VLAN засунуть, чтобы всё было отсортировано: телефоны в своей подсетке, открытые машины в своей, машины с ПДН в своей, серверная группировка в своей и т.д.

Вот более менее подготовленная и структурированная база для работы) Потом можно дальше будет модернизироваться. Отказоустойчивый кластер виртуализации поднять, сервер с СЗИ от НСД если приспичит, корпоративный сервер VPN с шифрованием каналов и так далее

[Adamos]

itshnick88, как говаривал тот верблюжонок, "мама, и на хрена нам весь этот обвес - в зоопарке?".
Вы описываете организацию на предприятии, где как минимум есть штатный ИБ-шник.
А тут - два десятка машин и админ-недоучка... уж разумеется, без никаких "выделений бюджетов".

[itshnick88]

Adamos, Я же написал, что может кто-то другой воспользуется, я никого не заставляю. Я написал, как было бы более менее. ИБшник должен быть, если с персоналкой работают и с СКЗИ, и заставлять будет прокуратура или ФСТЭК, мне-то без разницы. Я просто накидал базу, изучив которую, кстати, уже перестанешь быть недоучкой. И не говорю, что это всё по щелчку пальцев и за один раз. Можно стремиться к этому, но сделать по-своему, ради Бога)
Можно вообще ничё не делать, не создавать AD, не делать бэкапы, не изолировать сети, а просто рубиться в доту и получать копеечку

[Adamos]

itshnick88, с "персоналкой" работает даже бух-ИПшник на аутсорсе, уж такое это размытое понятие - не для регулирования, а для того, чтобы каждого можно было назначить виновным.
Но при этом малому бизнесу на весь тот цирк с конями, который накрутили вокруг этого жупела, никогда не хватит средств просто принципиально. И полноценная ИБ в частной фирме на 20 компьютеров - нонсенс.
А утрировать не надо. Между кровавым энтерпрайзом и "ничего не делать" очень широкий зазор. В частности, именно в нем более-менее успешно работает половина российского бизнеса.

[itshnick88]

Adamos, Ну ваша позиция очень удобная, мол, утрировать не надо, и ничего не делать не надо, там понятие размытое, а тут цирк накрутили, поэтому буду делать так, как сам посчитаю нужным... ну как бы. Да делайте как хотите, я же уже третий раз повторяю. Не хотите, чтобы назначали виновных - так прокурору можно будет и сказать - сразу оправдают) Кому всё-равно, может и настраивать инфраструктуру под понятие "всё-равно", пожалуйста. Я что, заставляю кого-то? Нет. Ну вот и наплюйте на мои рекомендации

[Adamos]

itshnick88, просто вы сами дискредитируете свои рекомендации, сваливая в одну кучу и реально необходимые вещи вроде бэкапов, и совершенно никуда малому бизнесу не упершиеся кластеры виртуализации. А потом обиженно заявляете, что кто не согласен - тот вообще ничего не делает. То есть последовательно провоцируете желание к ним не прислушиваться.
Понятно, что вы говорите правильные вещи, примерно так и должны учить ИБ-шников для госконтор и корпораций.
Но в реалиях малого бизнеса, где выделение средств на IT - это в лучшем случае покупка необходимого софта, компьютеров на рабочие места и зарплата вот такого эникея, как ТС, описанные вами меры так же неприменимы, как армейские уставы. Чисто физически.

[itshnick88]

Что кому упёрлось, а кому не упёрлось, пусть решает каждый сам для себя. Я никого не заставляю, повторяю в пятый раз. И вы не решаете, что упёрлось, а что не упёрлось. Делайте так, как считаете нужным, ТС тоже сделает, что он посчитает нужным из предложенного. В чём проблема? Я не нуждаюсь ни в судьях, ни в комментаторах. Я предложил сетап со словами - не нужно вам, дак будет нужно другому. Можете выполнить часть, можете вообще ничё не выполнять. Всё. Я вас не звал, чтобы вы рассуждали, что из этого православное, а что нет, что дорого, а что дёшево. О чём разговор?

[Adamos]

itshnick88, теперь, на эмоциях - уже точно ни о чем. Просто это "ни о чем" происходит в комментариях к моему ответу, и я как-то поневоле получаюсь причастным ;)

[itshnick88]

Adamos, Да ладно, пятница подходит к концу, хороших выходных =)

Answer 3

[Михаил Лялин]

по 1с - лучше отдельный компьютер с резервными копиями 1с на другой диск+другой носитель+облако
полезные материалы по сетям, 1с, серверам и т.д.

Answer 4

[Akina]

1. Собственный сервер - скорее да, чем нет. На Windows - 33/67 (альтернативы - Linux и NAS). AD - точно нет.
2. Коммутатор, разделяющий сеть на изолированные сегменты с помощью VLAN. При необходимости ограниченного или контролируемого доступа из сегмента в сегмент - маршрутизация Микротиком.
3. См. п. 1.
4. Видео - есть. Полезных - нет.

Дополнительно. Организация надёжного резервного копирования, и в первую очередь баз 1С, на независимый носитель - критично обязательно.

Answer 5

[RStarun]

С одной стороны в любой офис где больше 5 ПК и нужны хоть какие-то ограничения по доступам уже можно ставить AD. Когда-то у МС были примерно такие рекомендации. И были сервера foundation до 15 пользователей с ценой как десктоп. С другой... сейчас ставить МС не модно. Нет, если навыков по другим продуктам мало, если за пиратку не переживаете, то все можно. И подняв на МС уже переползать на другие продукты в чем-то проще. Тем более что у вас уже везде на ПК винда стоит, винсервер будет быстрее внедрен.

Если не заморачиваться по виндовым продуктам, то можно просто поставить хранилку NAS (можно самопал на truenas), там обычно есть Samba. Насколько я помню она позволяет поднять домен и запихнуть туда компы и пользователей, распределить права доступа. Там нет GPO и много чего еще. Заодно будет иметь рейд и бекап на диск со снепшотами. Все это с красивым веб интерфейсом и без возможности стрельбы в ногу. Можно и без заведения компов в домен. Просто подключить нужные сетевые диски каждому пользователю под его учетными данными созданными в NAS.

Бухам действительно нужно отдельно жить, только не сеть отдельную, а просто отдельные папки с их данными и 1С. Чтобы никто кроме них туда не лез. И даже папки баз 1С нужно разграничивать, часть сотрудников пойдут в УТ, бухи пойдут и в УТ и в БП, часть бухов пойдут в УТ, БП, ЗиК.

Сеть пока плоская, с одной подсетью. Ну если видеонаблюдение будет, можно вывести в доп сеть.

По урокам не знаю, раньше можно было почитать рекламные буклеты|сайты где расписано как классно вы заживете купив тот или иной продукт. Ну и дальше уже пытаться внедрить описанные решения приближая действительное к желаемому. Рекламные материалы по тому как лучше обустроить SMB сегмент в интернетах валяются, ищите. Ключевые слова SMB, small business, soho server. Есть учебные курсы по тем или иным продуктам у вендоров. Тыкаетесь, понимаете какие вас беспокоят проблемы, понимаете какие вопросы нужно решить, находите продукт закрывающий проблему, обучаетесь по этому продукту, внедряете, следующая итерация.

Answer 6

[Pb_hard]

1. Стоит ли делать бухгалтерии свой собственный сервер на win сервере ? (у них 3 компьютера, и стоит ли им делать AD) Три пользователя это файловая база как правило. Отдельный сервер как правило не нужен. Хотя удобнее делать те же бэкапы если базы лежат на отдельном сервере.
Сервер это функция а не характеристика. Сервер не обязан быть мощным, беспребойным, надежным, и.т.д хотя для некоторых задач это может потребоваться.
Для трех баз вполне пойдет обычная ОС с расшаренной папкой. Что -то большее - это уже надо смотреть по ситуации.
Иногда есть смысл оставить базы файловыми, но работать через сервер терминалов, иногда есть смысл перевести 1с на клиент-серверный режим работы, поставить сервер 1с и сервер баз данных. Иногда нужен или удобен веб доступ - нужен веб сервер для 1с. В общем режимов работы 1с десятки и выбирается все исходя из задач и возможностей.
В текущей ситуации я бы посоветовал оставить все как есть, только наладить бэкап. А что то менять только тогда, когда возникнет явная необходимость

2. Не могу понять как построить грамотно сеть

А что значит грамотно? Воткнули провода в коммутатор и все работает. Маршрутизатор в локальной сети не нужен. Его ставят только для соединения нескольких сетей. Например соединить две офисных сети, или соединить офисную сеть с глобальной сетью Internet.
В общем непонятно в чем у вас затруднения и проблемы.

3. Стоит ли ставить на всю организацию виндоус сервер и подключать к ним AD

Если вы четко знаете что вам не решить проблем без AD или понимаете что без него вам крайне неудобно будет работать , то конечно стоит. В остальных случаях нет, не стоит.
Мне не совсем понятно для чего там AD, но я и ситуации точно не знаю, поэтому точно сказать не могу, может и нужен.

Общий совет -
Перед тем как что-то делать, устанавиливать софт, ставить сервера, AD, и прочее нужно четко представлять для чего вы это делаете, и какие задачи это вам решит.
Ни в коем случае не стоит ничего ставить по принципу - так надо, так посоветовали, так у всех.

Answer 7

[AntHTML]

1) Смотря сколько чел в бухгалтерии и какая у них работа. Для организации из 20 чел достаточно и нужно одного правильно настроенного типосервера на WIN10 и одного на nix (truenas и тп)
2) Оставить все как есть: 20 компов это нормально для обычной одноранговой сети, отдельная подсеть в такой организации бухам нафик несдалась достаточно в паре мест разграничить права.
3) AD стоит ставить если в сети минимум 70+ компов, а лучше 100+. При меньшем количистве - гемороя от AD больше чем пользы, это не считая стоимости инфраструктуры для нормального функционирования AD.
4) Видеоуроков нет - это игрушки для школьников и кулинаров, а вот неплохих книг по основам сетей предприятий начального уровня в соответствующем разделе рутрекера достаточно.

Answer 8

[Александр]

Вот хороший гайд как делать https://habr.com/ru/articles/90409

Старый и только на решениях Майкрософт, но фундамент правильный. Для любой организации сети понадобится база, а на каких технологиях выбирайте сами что сейчас умеете:
- AD, DNS, DHCP, NTP
- терминальный сервер общего доступа
- файловый сервер с доступом по группам
- бэкап сервер 3-2-1
- прокси сервер с черными списком
- корпоративная почта
- корпоративный мессенджер
- корпоративный wiki портал с новостями, событиями, инструкциями, списком сотрудников, День рождения и т.п. Делаете его домашней страницей в браузерах
- для внешки хорошо nextcloud
- сервисдеск система. Никаких заявок голосом в коридоре
- обязательно забрать у пользователей локального администратора
- ну и для спокойствия мониторинг этого всего хозяйства на Zabbix

Answer 9

[ITDiver77]

Не слушайте тех, кто утверждает что адшка это для "больших сетей".
Но внимательно слушайте про лицензионный софт. На работе у коллеги, бывшего админа, условка за "поставил Винду". Оно Вам надо, эти риски?
Вообще что делать нужно решать от вопросов "что нужно". И будем честны, мелким офисам обычно нифига особо не нужно, "и так сойдёт." Но тут ещё нужно решить что нужно Вам. Всю дорогу быть "начинающим админом?" Или развиваться? Если первое, сидите на попе ровно, солдат спит служба идёт. Если второе, ставьте амбициозные задачи, если лицуха на серверную ось есть, поднимайте АД. Там на самом деле поставить ничего сложного. А вот понять как оно работает, узнать про групповые политики, что за srv записи, что значит для компа членство в домене - полезно, но читать надо будет в количестве)).
А если лицухи нет - есть ещё более героический план для новичка, осилить FreeIPA, или иной аналог адшки на линухе. Поверьте, если годно это всё раскурите, скилы прокачаете неплохо. А на фоне того что в конкретной местности мастдай наконец умирает, пригодится особенно.
Но, чтобы бизнес не руинить, пока учитесь, начните с освоения виртуалок, и разверните внутри них всё что душе угодно, тестовую сетку на 2-3 компа и научитесь это всё готовить ручками. Да и потом уже в ваш плюшевый прод ту же виртуалтзацию на сервачок впилите, отдельную виртуалку под ад, отдельно под файлопомойку. Это не то чтобы необходимо, но позволит приблизтся к тому, как оно будет далее - на выделенные железные серваки (бареметал, барик), сейчас почти ничего не ставят, кроме очень уж высоконагруженных систем, которые готовы в одну калитку весь сервак утилизировать, и когда жадность на 5-10% перекрывает расходы на управление отдельной железкой.

Comments

[Pb_hard]

Не слушайте тех, кто утверждает что адшка это для "больших сетей".

Дело не только в размере, но и размер важен.

Вот у вас десяток другой компьютеров, разумеется в штате нет системного администратора, софт устанавливают разумеется сами сотрудники, или приходящий сисадмин из ближайшей конторы.
Пароль администратора домена записан у всех сотрудников на мониторе, на случай если надо что-то установить.

Совсем другое дело когда речь идет о крупной сети, и ИТ отделу трудно рулить правами на сотнях машин, и развертывать на них софт. Замучаешься по этажам бегать и в коммандировки ездить.
А с AD это делается не выходя из своего кабинета. Быстро и удобно.
Но что делать если AD есть, а ни сисадмина, ни его кабинета нет? И вообще все сидят в одном кабинете.

Answer 10

[JoshMil]

Вообще говоря, можно сказать так: сервер как правило не нужен: на трех клиентов как правило хватает обычной файловой базы. Но конкретика может поменять выбор.
В таких маленьких сетях постоянный админ не нужен: это банальное просиживание штанов в самый продуктивный период жизни. Когда можно учится и тд.
Так вот если есть возможность не сидеть полный день - то каталог нужен: сэкономит много времени всем. И организовать его можно на базе linux. Возможностей которые он даст достаточно для небольших организаций. Бесплатно все и законно.
Насчет сети - ничего не надо строить если она маленькая а задачи бизнеса и безопасность не требуют сегментации. Если требуют то тебе объяснит ктото, что нужно.
А далее надо смотреть, если коммутаторы l3 поднять сегменты на него их. Если l2 - на микротике. Вот и все. Автоматизируй, сбрасывай с себя работу не требующую больших интеллектуальных ресурсов.

Answer 11

[Виталий]

1. Отдельный сервер может быть, но если на этот сервер поставить proxmox или exsi и тогда уже в ВМ разворачивать 1с, домен, заббих. Опять же это площадка для твоих тестов.
2. Чтобы правильно организовать сеть, необходимо подключить все компьютеры к одному коммутатору, если в микротик есть 24 порта, тогда это будет самое правильно решение.
3. Разворачивать стоит, это опыт для тебя. И контроль за рабочим процессом.
4. Открываешь ютуб, вводишь необходимый запрос, пересматриваешь тонны видео и делаешь вывод.

Для хранения данных посоветовал бы купить Synology минимум 220+, он на 2 диска, и версия плюс при отключении энергии автоматически запустит сервер. Так же присоединить к АД и тогда у пользователей будет доступ к нему по логину и паролю. Далее уже каждого можно будет контролировать по доступа к приложениям и папкам.

Comments

[Adamos]

За п. 2 в приличном обществе могут выпороть патчкордами.

[Виталий]

Adamos, чой та?

Answer 12

[foxy91]

На 20 компов я бы точно ставил AD и загонял туда всех, не только бухгалтерию. Тут понаписали, что это создаст больше сложностей - не слушай, больше сложностей будет если попробуешь, например, сделать файловый сервер с разными уровнями доступа для сотрудников/отделов без AD.
Сам AD поднимается не долго и не сложно, в youtube есть уроки на эту тему. Больше работы возникнет при вводе компов в домен с сохранением настроек локальных пользователей, но в этом поможет profwiz.
Достанься мне такое наследство - я бы шел в сторону сервера + proxmox + пары виртуалок (DC + файловый сервер). На эту базу уже можно городить много всего разного исходя из потребностей.

Answer 13

[Nodir7]

Если сервер для бухгалтерии нужен только для централизованного хранения доков или бд используйте общий Гугл диск.

Если планируется в дальнейшем рост сотрудников и ПК минимум в два раза то имеет смысл ад и сервера, потому что в дальнейшем будет намного сложнее наводить порядок, на этот вопрос может ответить бизнес.

Comments

[Adamos]

Бизнес уже ответил, наняв админа, который здесь спрашивает про видеоуроки. Явно планируя резкий рост и все такое...

Answer 14

[Вениамин Коноплев]

Для "долгой и счастливой" жизни Вам нужно минимум два логических сервера: один AD+DHCP и один 1C+Файловый. В принципе их можно запустить как виртуалки на одном железе. Можно, конечно "все в одном", но мелко- мягкие настоятельно не рекомендуют объединять AD с другими функциями.

Сеть делайте как проще: одна подсеть и выход в мир через NAT. Для Вас сейчас важно, чтобы это все просто работало. Потом, когда справитесь с первоочередными задачами и наберетесь опыта, сможете заняться сегментированием если захотите улучшить безопасность.

Comments

[Adamos]

DHCP ему и Микротик обеспечит.
Про необходимость AD выше уже десять раз прокукарекали виндоадмины, но ни один так и не смог четко сформулировать, в чем эта необходимость - особенно учитывая стоимость винсервера (которую никто еще и не разбежится выделять) и проблемы с M$ в РФ.
1С на трех бухов никакого отдельного сервера не требует.
Файлопомойка - да, полезна для наведения порядка, но это может быть буквально любая офисная машинка с натянутым на нее линем или насом. Танцы с виртуализацией - явный оверхед.

[Вениамин Коноплев]

Не буду вести с Вами холивары. Не хочу Вас обидеть, но похоже, что опыта нормального администрирования у Вас нет. Разместите в Хабр Q&A вопрос: "Имеет ли смысл ставить контроллер домена в конторе с числом рабочих мест 10+ " и Вам все подробно объяснят.

Ну и насчет 1С: как только к сетевой папочке подключается второй пользователь протокол CIFS отключает кэширование и на тяжелых операциях все становиться очень грустно. Поэтому в топку такое решение. Остается ли либо терминальный сервер с 1С в файловом режиме, либо 1С сервер. Первый вариант получается дешевле. Ну там еще не так давно в платформе 1С появилась возможность публиковать файловую информационную базу 1С через WEB. Оно самое дешевое, но с ним я не работал, поэтому сложно комментировать.

[Adamos]

Вениамин Коноплев, так вот он, перед нами, вопрос - имеет ли смысл. Пока смысла что-то не видно.
У 1С все традиционно грустно, но еще грустнее становится, когда хочется сделать веселее - потому что у 1С это стоит отдельных денег, которые никто тратить не собирается. Вот и разводятся костыли с IIS, например. Но для трех бухов эта грусть не так критична, тут админ может просто ничего не трогать, обеспечил бэкап - и ладно.

[Вениамин Коноплев]

Если в конторе в наличии имеется опытный администратор, то просто ставиться Linux-сервер. На нем поднимается нужное число контейнеров с экземплярами операционной системы. В контейнеры ставится
все, что нужно: Samba AD, Samba, Платформа 1С.

В качестве локального хранилища используется ZFS -- которая дает одновременно программный рэйд, менеджер томов и высокофункциональную файловую систему. Содержимое контейнеров регулярно снепшотится встроенными средствами ZFS. Снимки в этом решении практически не влияют на производительность, можно легко держать глубину в несколько десятков. Поэтому даже если пользователи или шифровальщик попортят данные в сетевых папках, то их можно моментально восстановить из снепшота.

Покупается конфигурация 1С за 20к и две дополнительные рабочие лицензии по 10к.
Сервер вполне можно запустить на недорогом десктопном железе с некоторым ухудшением надежности, которое в небольшой конторе вполне приемлемо.

Весь этот фарш (железо+софт) можно уместить в 100 килорублей. Не так уж и дорого для конторы на 20 сотрудников.

Но тут только одна проблема -- учите Линукс)

[Adamos]

Вениамин Коноплев, мой офис на Линукс переходил прямо с ХР.
Но в нем до сих пор так и не понадобился ни AD, ни виртуализация, ни фильдеперсовые ФС. Тупо - незачем.
Например, вместо того, чтобы снапшотить целые разделы, файлопомойки просто делают кросс-бэкап друг на друга и выставляют его в read-only папках, так что любой юзер может сам дотянуться до копии того файла, который испортил. Без rocket science.
И, что характерно, без выкидывания на этот пафос хоть каких-либо килорублей.

[Вениамин Коноплев]

Я тоже какое-то время администрировал без AD: ножками+матюгами. Потом поднял домен и по рабочим местам уже практически не хожу. Конечно если контра состоит из генерального директора, бухгалтера и трех менеджеров по продажам, то домен наверно не нужен)

[Adamos]

Вениамин Коноплев, так и я не хожу. Если что-то нужно сделать удаленно - подключился по SSH и сделал. Но это большая редкость, у меня просто все работает. Я, собственно, в основном программирую, админство занимает процентов пять рабочего времени. Причем это, как правило, не какие-то настройки, а скорее эникейское решение текущих затыков пользователя. Сегодня, например, помог юзеру побороться с otpravka.pochta.ru, потом отписался в их ТП с диагнозом проблемы на их стороне. Еще гугль вдруг стал ругаться на наш DKIM - порешали это с хостером. Так это у меня был напряженный по сисадминству день ;)
А юзеры на Линуксах просто работают, что им меня дергать? Какие ножки-ручки, зачем?
Ну, и если что-то действительно сломалось (винт накрылся, например) - никакой домен тут не поможет.